EU AI Act 2026: Was KMU bis zum 2. August beachten müssen

Am 2. August 2026 wird der EU AI Act für Unternehmen ernst: Ab diesem Stichtag können die nationalen Aufsichtsbehörden Verstöße gegen die KI-Verordnung ahnden – in Deutschland übernimmt das BSI die zentrale Aufsicht. Viele kleine und mittlere Unternehmen glauben, der EU AI Act 2026 betreffe nur große Tech-Konzerne. Das ist ein teurer Irrtum.

Was ändert sich am 2. August 2026?

Der EU AI Act gilt bereits seit 2024 schrittweise. Zum 2. August 2026 kommt jedoch ein entscheidender Schritt: Die Mitgliedstaaten nehmen die Marktüberwachung auf, die Transparenzpflichten für KI-Systeme werden anwendbar und das Sanktionsregime greift. Die Bußgelder sind dabei kein Papiertiger – sie reichen von bis zu 7,5 Millionen Euro bei Falschangaben gegenüber Behörden bis zu 35 Millionen Euro oder 7 % des weltweiten Jahresumsatzes bei verbotenen KI-Praktiken.

Gilt der EU AI Act auch für kleine Unternehmen?

Ja. Die KI-Verordnung unterscheidet nicht nach Unternehmensgröße, sondern nach Anwendung und Rolle. Wer ChatGPT, Microsoft Copilot, Claude oder Gemini im Tagesgeschäft einsetzt, gilt als „Betreiber“ eines KI-Systems – und steht damit in der Pflicht.

KI-Kompetenz ist schon heute Pflicht

Besonders wichtig für Geschäftsführer: Die Pflicht zur KI-Kompetenz nach Artikel 4 gilt bereits seit dem 2. Februar 2025. Unternehmen müssen sicherstellen, dass alle Mitarbeitenden, die mit KI arbeiten, über ausreichendes Wissen zu Chancen und Risiken verfügen. Wer das nicht nachweisbar geschult und dokumentiert hat, befindet sich schon jetzt in einer Pflichtverletzung.

EU AI Act und DSGVO – zwei Regelwerke, ein Prozess

Der EU AI Act ersetzt die DSGVO nicht, er ergänzt sie. Sobald ein KI-System personenbezogene Daten verarbeitet – etwa bei der Auswertung von Kundenanfragen oder Bewerbungen – gelten beide Regelwerke parallel. Häufig wird dann zusätzlich eine Datenschutz-Folgenabschätzung nötig. Auch die technischen und organisatorischen Maßnahmen müssen den KI-Einsatz künftig mit abdecken.

5 Schritte, die Geschäftsführer jetzt gehen sollten

• Bestandsaufnahme: Erfassen Sie alle KI-Tools, die im Unternehmen genutzt werden – auch die inoffiziellen.
• Risiko einordnen: Klassifizieren Sie jeden Anwendungsfall nach Risiko (verboten, hoch, begrenzt, minimal).
• Mitarbeitende schulen: Schaffen Sie nachweisbare KI-Kompetenz nach Artikel 4.
• Datenschutz prüfen: Klären Sie, wo personenbezogene Daten betroffen sind und die DSGVO greift.
• Dokumentieren: Halten Sie Schulungen, Verantwortlichkeiten und Entscheidungen schriftlich fest.

Fazit: Jetzt handeln statt abwarten

Der EU AI Act 2026 ist für KMU kein Grund zur Panik, aber ein klarer Handlungsauftrag. Wer KI bereits nutzt, sollte die verbleibenden Wochen bis zum 2. August aktiv nutzen – mit einer sauberen Bestandsaufnahme, geschulten Mitarbeitenden und einer engen Verzahnung von KI- und Datenschutz-Compliance. Unser DSGVO-Ratgeber für KMU liefert dafür eine solide Grundlage.

Sie benötigen Unterstützung beim Datenschutz? Die Experten von Datenschutz Einfach helfen Ihnen gerne weiter. Kontaktieren Sie uns für eine unverbindliche Erstberatung.